ZTNA (Zero Trust Netzwerkzugriff)

Zero-Trust-Netzwerkzugriffsmodelle (ZTNA) gewähren autorisierten Benutzern oder Geräten adaptiv Zugriff auf der Grundlage der Kontexterkennung. Diese Systeme legen Zugriffsberechtigungen standardmäßig so fest, dass sie verweigert werden, und nur autorisierte Benutzer, die auf der Grundlage von Identität, Zeit, Gerät und anderen konfigurierbaren Parametern genehmigt wurden, erhalten Zugriff auf Ihr Netzwerk, Ihre Daten oder Anwendungen. Der Zugriff wird niemals implizit gewährt, sondern nur auf einer vorab genehmigten und need-to-know-Basis.

Es wird erwartet, dass Cyberkriminalität die Gesellschaft jährlich mehr als 6 Billionen US-Dollar kosten wird. IT-Abteilungen sind heute für die Verwaltung einer wesentlich größeren Angriffsfläche als je zuvor verantwortlich. Zu den potenziellen Angriffszielen gehören Netzwerkendpunkte zwischen Geräten und Servern (die Netzwerkangriffsfläche), Code, der in Ihren Netzwerken und Geräten ausgeführt wird (die Softwareangriffsfläche) und die physischen Geräte, die für Angriffe offen sind (die physische Angriffsfläche).

Mit der Zunahme der Remote-Arbeit und der Nutzung von Cloud-Anwendungen für alltägliche Aufgaben kann es schwierig sein, den Mitarbeitern den benötigten Zugriff zu gewähren und gleichzeitig Ihr Unternehmen vor böswilligen Angriffen zu schützen. Hier kommt der Zero Trust Network Access (ZTNA) ins Spiel.

Funktionsweise von Zero Trust Network Access (ZTNA)

Im ZTNA-Modell wird der Zugriff erst dann genehmigt, wenn ein Benutzer durch den ZTNA-Dienst authentifiziert wurde, der dann über einen sicheren und verschlüsselten Tunnel einen Anwendungs- oder Netzwerkzugriff bereitstellt. Der Dienst verhindert, dass Benutzer Anwendungen oder Daten sehen, für die sie keine Zugriffsberechtigung haben, und verhindert so eine laterale Bewegung durch einen potenziellen Angreifer. Diese Art der Verschiebung wäre andernfalls möglich, wenn ein kompromittierter Endpunkt oder genehmigte Anmeldeinformationen von einem nicht autorisierten Gerät oder Agenten verwendet werden könnten, um zu anderen Diensten oder Anwendungen zu wechseln.

Mit ZTNA werden geschützte Anwendungen auch vor der Erkennung verborgen, und der Zugriff auf sie wird über den ZTNA-Dienst (auch als Trust Broker bezeichnet) auf eine Reihe von vorab genehmigten Entitäten beschränkt. Ein Trust Broker gewährt nur dann Zugriff auf ein Unternehmen, wenn die folgenden Bedingungen erfüllt sind:

Die Entität (ein Benutzer, ein Gerät oder ein Netzwerk) stellt dem Broker die richtigen Anmeldeinformationen zur Verfügung.
Der Kontext, in dem der Zugriff angefordert wird, ist gültig.
Alle anwendbaren Richtlinien für den Zugriff in diesem gegebenen Kontext wurden befolgt.

In ZTNA sind die Zugriffsrichtlinien anpassbar und können je nach Systemanforderungen geändert werden. Zusätzlich zu den oben genannten Anforderungen können Sie beispielsweise eine standort- oder gerätebasierte Zugriffssteuerung implementieren, die verhindert, dass anfällige oder nicht genehmigte Geräte eine Verbindung zu einem geschützten Netzwerk herstellen.

Vorteile von Zero Trust Network Access (ZTNA)

Erstens, da der Anwendungszugriff im ZTNA-Framework vom Netzwerkzugriff isoliert ist, wird die Gefährdung des Netzwerks durch Infektionen oder den Zugriff durch kompromittierte Geräte reduziert.

Zweitens stellen ZTNA-Modelle nur ausgehende Verbindungen her. Dadurch wird sichergestellt, dass Netzwerk- und Anwendungsinfrastrukturen für nicht autorisierte oder nicht autorisierte Benutzer unsichtbar sind.

Drittens: Sobald ein Benutzer autorisiert ist, wird der Anwendungszugriff auf einer Eins-zu-Eins-Basis bereitgestellt. Benutzer können nur auf Anwendungen zugreifen, auf die sie explizit Zugriff erhalten haben, anstatt vollständigen Netzwerkzugriff zu erhalten.

Da ZTNA softwaredefiniert ist, kann der Aufwand für die Geräte- und Anwendungsverwaltung erheblich reduziert werden.

Anwendungsfälle für Zero Trust Network Access (ZTNA)

Hier sind einige beliebte Anwendungsfälle, die die Leistungsfähigkeit von ZTNA-Sicherheitsmodellen veranschaulichen.

VPN ersetzen

VPNs sind langsam, relativ unsicher und können schwierig zu verwalten sein. ZTNA entwickelt sich schnell zum bevorzugten Sicherheitsmodell, das VPN für die Bereitstellung von Remote-Zugriff auf zentrale Netzwerke ersetzen soll.

Reduzierte Risiken von Drittanbietern und Lieferanten

Zugriffsberechtigungen und Datenübertragungen zu oder von Drittanbietern oder externen Anbietern sind eine inhärente Sicherheitslücke für Ihre IT-Infrastruktur. Mit ZTNA können Sie diese Risiken reduzieren, indem Sie sicherstellen, dass externe Benutzer niemals Zugriff auf ein gesichertes Netzwerk erhalten, es sei denn, sie sind autorisiert, und dass sie selbst mit Zugriff nur Zugriff auf bestimmte Anwendungen oder Datenbanken haben, für die sie Zugriff haben.

Bereitstellung von Zero Trust Network Access (ZTNA)

Sie können ZTNA in Ihrem Unternehmen wie folgt bereitstellen:

Über die Gateway-Integration, bei der jeder Datenverkehr, der versucht, eine Netzwerkgrenze zu überqueren, von Ihrem Gateway gefiltert wird.
Über ein sicheres softwaredefiniertes WAN, das den Netzwerkzugriff mithilfe eines integrierten Sicherheitsstacks in jedem Netzwerkgerät optimieren und automatisieren kann.
Über Secure Access Service Edge (SASE), der softwaredefinierte WAN-Sicherheit über eine virtuelle Cloud-Appliance bietet.

ZTNA ist als Best Practice für Cybersicherheit anerkannt. Das Beste an ZTNA ist, dass es keine signifikante Neugestaltung Ihres bestehenden Netzwerks erfordert, um es bereitzustellen. Da jedoch jedes IT-Unterfangen das Onboarding von Personen und Geräten erfordert, die Neudefinition von Richtlinien und die Sicherstellung der Zustimmung der Stakeholder müssen Entscheidungsträger Folgendes berücksichtigen, bevor sie eine Partnerschaft mit einem ZTNA-Lösungsanbieter eingehen:

Hilft Ihnen die Lösung, Daten und Anwendungen mit Mikroperimetern zu sichern?
Können Sie Daten während der Übertragung schützen?
Verfügt es über eine Standard-Deny-Segmentierung sowie granulares Richtliniendesign und -tests?
Kann es unabhängig von Ihrer bestehenden Infrastruktur eingesetzt werden?
Bietet es Warnungen bei Verstößen?
Welche Art von Sicherheitsvorkehrungen für Workloads gibt es?
Bietet die Lösung benutzerbasierte Segmentierung, Fernzugriffskontrolle und Verhinderung von Lateral-Movement?
Gibt es eine Segmentierung auf Geräteebene, die Erkennung unbekannter Geräte und eine Gerätequarantäne?
Gibt es eine standardmäßige Eindämmung, noch bevor Bedrohungen identifiziert werden?
Welche Arten von Transparenz haben Benutzer, und welche Arten von Audits sind verfügbar?
Welche Arten von Integrationen sind enthalten? Beachten Sie Folgendes:
Orchestrierung mit Chef, Puppet oder Ansible
Orchestrierung von Container-Plattformen mit Red Hat OpenShift, Kubernetes oder Docker
Sicherheitsanalysen mit Splunk und IBM QRadar
Schwachstellenmanagement-Tools wie Qualys, Tenable oder Rapid7
Public-Cloud-Tools wie AWS Cloud Formation, AWS GuardDuty und Azure
Wie schnell kann ich meine Netzwerkumgebungen segmentieren?
Wie können meine vorhandenen Investitionen wie Host-Firewalls, Switches und Load Balancer genutzt werden, um die Segmentierung über Legacy- und Hybridsysteme hinweg durchzusetzen?
Welche Arten von REST-API-Integrationen werden unterstützt? Zu den wichtigen Tools, auf die Sie achten sollten, gehören OneOps, Chef, Puppet, Jenkins, Docker und OpenStack Heat/Murano